HTC schikt met FTC over onveilige implementatie van Carrier IQ, HTC Logger

HTC Amerika heeft een oplossing gevonden met de FTC (Federal Trade Commission) over de bezorgdheid dat het bedrijf miljoenen persoonlijke gegevens van klanten in gevaar brengt door onveilige implementaties van software op zijn apparaten. De FTC ontdekte dat HTC geen redelijke zorg besteedde aan het implementeren van de beste coderings- en beveiligingspraktijken bij het maken van software voor zijn apparaten, met de volgende woorden:

"[HTC] heeft zijn technisch personeel niet de juiste beveiligingstraining gegeven, heeft de software op zijn mobiele apparaten niet beoordeeld of getest op mogelijke beveiligingsproblemen, voldeed niet aan de bekende en algemeen aanvaarde praktijken voor veilige codering en slaagde er niet in een proces op te zetten voor het ontvangen en behandelen van kwetsbaarheidsrapporten van derden. "

Dat zijn enkele vrij sterke woorden voor het bedrijf, maar waar het echt bij komt, zijn de consumentenproblemen die werden veroorzaakt door dit gebrek aan overzicht. De FTC legt uit dat HTC's implementatie

van Carrier IQ en HTC Logger op zijn apparaten lieten klantgegevens kwetsbaar voor aanvallen, naast fouten waardoor derden het ingebouwde toestemmingensysteem van Android zouden omzeilen.

Het tweede deel van de klacht van de FTC is dat zij vindt dat HTC bedrieglijk was door consumenten erover te vertellen de veiligheidsrisico's van de software-implementaties, waarin staat dat de gebruikershandleidingen van het apparaat en de interface van de app "Tell HTC" misleidend waren. Van beide implementatieproblemen wordt gezegd dat ze het normale toestemmingsmechanisme van Android hebben ondermijnd dat de gegevens van de gebruiker veilig zou hebben gehouden.

Dus wat betekent dit voor HTC? De FTC eist dat het bedrijf softwarepatches ontwikkelt en vrijgeeft voor zijn apparaten getroffen door deze kwetsbaarheden, en HTC heeft gezegd dat het hiervoor al een aantal patches heeft uitgebracht punt. Bovendien zal HTC de komende 20 jaar elke 2 jaar aan "onafhankelijke veiligheidsbeoordelingen" moeten onderwerpen. Het is HTC ook verboden om in de toekomst misleidende uitspraken te doen over de beveiliging van zijn apparaten en gebruikersgegevens.

Dit is een vrij grote bevinding van de FTC, maar hoeft niet per se ongewoon te zijn. Hoewel het misschien geen wijdverbreide exploits zijn geweest die misbruik maakten van deze beveiligingslekken, is het belangrijk dat HTC wijzigingen gaat aanbrengen om de beveiliging in de toekomst te helpen. Hoewel we liever hadden gezien dat HTC in de eerste plaats best practices had geïmplementeerd, dan dat het door de FTC zou worden onderzocht.

Bron: FTC